Илья Завьялов о том, во что обходится общий аккаунт в день инцидента

01

Откуда общий вход берётся в каждой команде

Общий вход почти никогда не заводят как продуманное решение. Он появляется как обходной путь в момент, когда человеку нужно быстро дать возможность работать. Сервис требует приглашения, приглашение требует администратора, администратор занят другим, и кто-то диктует пароль голосом или отправляет его сообщением. Через неделю об этом эпизоде уже никто не помнит. Доступ при этом остаётся и переживает несколько составов команды.

Вторая причина считается в деньгах. Многие сервисы берут плату за каждое рабочее место, и для команды из шести человек разница за год выглядит заметной суммой. Экономия здесь настоящая ровно до первого разбора: стоимость одного дня, когда команда занята восстановлением картины вместо работы, обычно перекрывает годовую подписку на несколько мест. Расчёт проигрывает потому, что в него не закладывают редкие события с высокой ценой.

Третья причина лежит в отношениях внутри команды. Общий пароль читается как знак доверия, а просьба завести отдельную учётную запись воспринимается как подозрение к конкретному человеку. В небольшой организации, где все знают друг друга по именам, этот сигнал весит больше любой формальной процедуры. Выход из этой ловушки состоит в том, чтобы перенести решение из области отношений в область регламента, где у каждого доступа есть владелец, срок и понятная причина существования.

02

Первый расход: действие, у которого нет автора

Журнал любого серьёзного сервиса фиксирует вход и последующее действие. Когда вход общий, журнал честно показывает, что кто-то из шести человек изменил реквизиты получателя платежа во вторник днём. Дальше запись перестаёт работать, потому что связать её с конкретным человеком нечем. Событие зафиксировано технически и бесполезно практически.

Это меняет разбор самой обычной ошибки. Когда автор известен, разговор занимает несколько минут: человек вспоминает, что делал, и объясняет, откуда взялось неверное значение. Когда автора нет, приходится опрашивать всех, каждый честно отвечает, что не помнит, и команда тратит день на восстановление событий по косвенным признакам. Сама ошибка при этом остаётся неисправленной дольше, чем длится разбор.

Ещё сильнее отсутствие привязки бьёт по спорным ситуациям. Если действие могло быть умышленным, общий вход снимает возможность доказывания для обеих сторон сразу. Подрядчик, у которого был тот же пароль, спокойно скажет, что его там не было, и проверить это утверждение нечем. В итоге отсутствие привязки одинаково укрывает того, кто ошибся, и лишает защиты того, кто прав.

Есть и тихое последствие, которое проявляется позже. В аккаунте без персональной привязки постепенно исчезает ощущение личной ответственности за то, что там происходит. Люди обращаются с настройками смелее, чем обращались бы под своим именем, потому что видимой связи между действием и человеком нет. Аккуратность в общем пространстве держится на характере участников, и она рассыпается при первой же смене состава.

03

Второй расход: отзыв, который всегда откладывают

Отзыв доступа у общего входа устроен грубо. Чтобы закрыть его одному человеку, нужно сменить пароль, а смена пароля выключает всех остальных одновременно. Значит, любая мелкая кадровая перемена превращается в небольшую операцию: предупредить шестерых, поменять значение, разослать новое, дождаться, пока все войдут заново и восстановят рабочие вкладки.

Дальше работает обычная человеческая арифметика. Операция стоит дорого, повод кажется мелким, поэтому её откладывают до удобного момента. Удобный момент наступает редко, а доступ у ушедшего человека продолжает жить неделями. Разбор таких историй почти всегда упирается в одну и ту же связку: закрытие откладывали не из-за небрежности, его откладывали из-за высокой цены самого действия.

Отдельная сложность возникает с паролем, который однажды попал в переписку. Он остаётся в истории чата, в резервных копиях устройств и в браузерах людей, которые давно сменили работу. Смена пароля обрывает только текущий доступ, тогда как привычка передавать значение текстом воспроизводит проблему уже через месяц. Отзыв в такой схеме никогда не бывает полным, поскольку отзывать приходится знание, которое успело разойтись по чужим устройствам.

04

Третий расход: восстановление, привязанное к чужому телефону

У любого серьёзного сервиса есть второй фактор и процедура восстановления. У общего входа обе вещи обычно привязаны к телефону того, кто заводил аккаунт первым. Пока этот человек рядом и на связи, схема работает и выглядит надёжной. Проблема появляется в день, когда он уходит из команды, меняет номер или просто оказывается недоступен несколько часов.

Дальше начинается самая медленная часть истории. Восстановление через поддержку сервиса требует подтверждения владения: документов организации, платёжных данных, иногда доступа к домену и почте на нём. Для небольшой команды сбор этих подтверждений занимает дни, и всё это время рабочий инструмент простаивает. Если аккаунт держит переписку с клиентами или рекламный кабинет, простой пересчитывается в прямые потери без всякой натяжки.

Обратная сторона той же привязки выглядит ещё неприятнее. Человек, чей телефон стоит вторым фактором, сохраняет техническую возможность войти после ухода, даже когда пароль уже сменили. Он получает код подтверждения на своё устройство, и команда узнаёт об этом только по последствиям. Привязка восстановления к личному устройству фактически превращает бывшего сотрудника в постоянного совладельца доступа.

05

Как общий вход выглядит со стороны нападающего

Общий ящик и общий кабинет интересны снаружи по понятной причине: один подобранный пароль открывает сразу всё. По годовому отчёту центра приёма жалоб на интернет-преступления ФБР за 2025 год, обращений было немногим больше миллиона, а заявленные потери составили почти 21 миллиард долларов, на 26 процентов больше, чем годом раньше. Компрометация деловой переписки заняла в этих потерях второе место с суммой 3,046 миллиарда долларов. За сухой категорией стоит ровно тот сценарий, где посторонний человек пишет из настоящего рабочего ящика компании.

Механика такой атаки не требует взлома в кинематографическом смысле. Достаточно попасть в почтовый ящик, через который компания обсуждает счета, и некоторое время просто читать переписку. Дальше письмо о смене банковских реквизитов уходит в правильной ветке, в привычном стиле и с адреса, который у получателя давно в контактах. Общий ящик повышает шансы попасть внутрь и одновременно убирает возможность понять, кто именно там побывал.

Отдельная строка того же отчёта касается колл-центровых схем, где поддельная техподдержка вместе с подделкой под государственные службы дала свыше 80 тысяч обращений и более 2,9 миллиарда долларов потерь. Для команды это означает, что звонок с просьбой продиктовать код подтверждения будет выглядеть буднично и правдоподобно. Когда код приходит на общий номер и его в этот момент ждут сразу несколько человек, вероятность, что кто-то произнесёт его вслух, заметно растёт.

06

Голос перестал работать как подтверждение личности

Проверка личности по голосу держалась на простом допущении: голос трудно подделать. Допущение перестало быть верным. По исследованиям клонирования голоса 2025 и 2026 годов, убедительный клон собирается с записи длиной около трёх секунд и достигает примерно 85 процентов точности. Три секунды это приветствие в голосовом сообщении или первая фраза в снятой трубке, то есть материал доступен практически для любого сотрудника.

Способность человека распознать подделку оказалась ниже, чем принято думать. В эксперименте слушатели отличали настоящий голос от синтезированного лишь в 37,5 процента случаев, что хуже случайного угадывания. Для процедуры отсюда следует одна практическая вещь: узнавание по звучанию потеряло доказательную силу. Обратный звонок на номер из внутреннего перечня сохраняет смысл, поскольку проверяет сам канал связи с человеком.

Скорость распространения этих схем измеряется отдельно. Вишинг с клонированным голосом за один квартал вырос на 1633 процента, и это рост в сегменте, который ещё недавно считался экзотикой. Для небольшой организации это значит, что просьба подтвердить платёж голосом директора уже не является редким сюжетом. Общий доступ делает такую просьбу опаснее, потому что исполнителю нечего проверить внутри системы.

Масштаб происходящего пока измеряется плохо. В годовом отчёте за 2025 год впервые появилась отметка о связи обращения с искусственным интеллектом: свыше 22 тысяч обращений и около 900 миллионов долларов. При этом из более чем восьми миллиардов долларов инвестиционных потерь такую отметку получили лишь 632 миллиона. Отметка фиксирует только замеченное, поэтому истинная доля синтезированного голоса и лица в этих суммах остаётся неизвестной, и процедуры разумнее строить по верхней границе оценки.

07

Отдельные учётные записи и роли как основная замена

Замена общего входа начинается с очевидного шага. Там, где сервис умеет приглашать вторых пользователей, каждый работает под своим именем и своим паролем. Это сразу даёт привязку действия к человеку, отзыв одной записи без последствий для остальных и восстановление через администратора организации. Три расхода закрываются одним решением, потому что все три вырастали из одного корня.

Роли важнее самих учётных записей. Отдельная запись с полными правами у каждого повторяет исходную проблему в новом виде: возможностей ошибиться становится больше, а последствия остаются такими же. Разумная схема выдаёт минимум прав, нужный для конкретной работы, и повышает их точечно и на время. Право менять платёжные реквизиты и право приглашать новых пользователей стоит держать у ограниченного круга людей, включая владельца бизнеса.

Стоимость этого решения стоит считать честно. Отдельные места действительно дороже, разница ощутима для команды на старте, и это единственный настоящий аргумент в пользу общего входа. Сравнивать её нужно со стоимостью одного дня разбора и одного платежа, ушедшего по подменённым реквизитам. При таком сравнении подписка на несколько мест перестаёт выглядеть расходом и начинает выглядеть страховкой с известной премией.

08

Хранилище паролей там, где роли не поддерживаются

Часть сервисов не умеет приглашать второго пользователя в принципе. Это касается старых панелей управления, региональных поставщиков и небольших инструментов, где вход устроен одной парой значений. В таких случаях пароль остаётся общим по факту, и задача сводится к тому, чтобы управление им ушло из переписки в общее хранилище.

Хранилище меняет две вещи сразу. Оно выдаёт доступ к записи конкретным людям и отзывает его мгновенно, без смены самого пароля и без остановки работы остальных. Оно же в любой момент показывает, у кого доступ есть сейчас, превращая вопрос о состоянии доступов в просмотр списка. Отзыв из хранилища срабатывает в момент нажатия, тогда как отзыв пароля, однажды продиктованного вслух, не срабатывал никогда.

У схемы есть ограничение, о котором стоит помнить заранее. Человек, имевший доступ к записи, мог скопировать значение куда угодно, поэтому при его уходе такие пароли всё же меняют вручную. Это тот самый случай, где ручная смена нужна, и его удобно свести к короткому списку сервисов, известному заранее. Список составляется один раз и живёт рядом с перечнем доступов, обновляясь вместе с ним.

09

Процедура выхода: час, ради которого всё строилось

Вся конструкция проверяется в один момент: когда человек перестаёт работать с командой. До этого дня разница между общим входом и отдельными записями остаётся теоретической и выглядит спором о вкусах. В этот день она измеряется двумя величинами: временем, за которое доступ действительно закрыт, и числом мест, о которых вообще вспомнили.

Процедура выхода помещается на одну страницу и содержит шаги в порядке выполнения. Отзыв учётных записей по перечню доступов, отзыв прав в хранилище паролей, ручная смена паролей из короткого списка, снятие второго фактора с личных устройств, передача владения общими ресурсами и доменами. Ответственный за выполнение назначается один, срок ставится в часах, потому что срок в днях на практике означает срок в неделях.

Отдельным шагом идёт проверка результата. Закрытым доступ считается только после проверочной попытки входа: отметка в таблице подтверждает намерение, попытка входа подтверждает состояние. Проверку удобно поручить второму человеку, поскольку тот, кто выполнял отзыв, склонен повторить собственную ошибку и в проверке. Результат проверки записывается туда же, где ведётся перечень доступов, чтобы через полгода вопрос не поднимался заново.

10

Где общий вход остаётся допустимым

Полный запрет общих входов в небольшой команде нереалистичен и обычно не нужен. Есть случаи, где три описанных расхода просто не возникают: доступ только на чтение к неконфиденциальным данным, из которого невозможно совершить никакое действие. Панель мониторинга в режиме просмотра или публичный отчёт подходят под это описание, и держать там персональные записи означает создавать работу без результата.

Границу удобно проводить по трём вопросам. Можно ли отсюда потратить деньги, можно ли отсюда написать от имени организации, хранятся ли здесь данные клиентов. Утвердительный ответ хотя бы на один вопрос выводит сервис из зоны исключения независимо от размера команды и от степени взаимного доверия внутри неё. Этот тест занимает полминуты и снимает большую часть споров о том, где заводить отдельные записи.

Полезно помнить и то, что большинство попыток заканчивается ничем. По данным Федеральной торговой комиссии США за 2025 год, в четырёх обращениях об имперсонации из пяти денежной потери не было вовсе, то есть попыток происходит намного больше, чем удачных исходов. Успех атаки зависит от конкретной слабости в конкретный момент времени. Общий вход как раз и есть та слабость, которая превращает рядовую попытку в удавшуюся, поэтому работа над ним даёт непропорционально большой эффект.